Cyber Essentials Zugriffskontrolle: UK-Leitfaden für 2026
17. August 2026
Erfahren Sie, wie Sie die Anforderungen an die Zugriffskontrolle von Cyber Essentials erfüllen. Ein praktischer UK-Leitfaden zu Benutzerkonten, Berechtigungen und MFA für 2026.
Was ist Zugriffskontrolle in Cyber Essentials?
Zugriffskontrolle ist eine der fünf zentralen technischen Kontrollen im britischen Cyber-Essentials-Programm. Sie stellt sicher, dass nur autorisierte Personen Zugriff auf Ihre Systeme und Daten erhalten. Das bedeutet, Benutzerkonten zu verwalten, angemessene Berechtigungen festzulegen und administrative Rechte einzuschränken. Ziel ist es, das Risiko unbefugten Zugriffs zu verringern – sei es durch externe Angreifer oder interne Fehler. Für britische Unternehmen, die eine Cyber-Essentials-Zertifizierung anstreben, ist die Zugriffskontrolle unerlässlich, um nachzuweisen, dass Ihre Organisation den Datenschutz ernst nimmt. Sie steht zudem im Einklang mit den Leitlinien des NCSC und den Anforderungen der DSGVO und ist damit ein grundlegender Schritt für eine robuste Cyber-Hygiene.
Wichtige Anforderungen für Benutzerkonten und Berechtigungen
Im Rahmen von Cyber Essentials muss jeder Nutzer ein eindeutiges Konto haben. Dadurch können Aktionen einer einzelnen Person zugeordnet werden. Gemeinsame oder generische Konten sind für Kerndienste nicht zulässig. Berechtigungen sollten nach dem Prinzip der geringsten Rechte vergeben werden: Nutzer erhalten nur Zugriff auf die Daten und Systeme, die sie für ihre Rolle benötigen. Konten von ehemaligen Mitarbeitern oder Auftragnehmern müssen sofort deaktiviert werden. Sie sollten den Benutzerzugriff außerdem regelmäßig überprüfen, insbesondere bei Rollenwechseln. Die IASME, die Cyber Essentials verwaltet, erwartet, dass Sie diese Prozesse dokumentieren. Die Einführung einer formellen Überprüfung der Benutzerzugriffe alle 30 bis 90 Tage ist ein praktischer Weg, um konform zu bleiben.
Effektive Verwaltung von Administratorkonten
Administratorkonten verfügen über erweiterte Rechte und sind daher ein bevorzugtes Ziel für Cyberkriminelle. Cyber Essentials verlangt, dass die Anzahl der Administratorkonten auf diejenigen beschränkt wird, die sie wirklich benötigen. Diese Konten sollten getrennt von den regulären Benutzerkonten für den täglichen Gebrauch sein. Beispielsweise sollten Mitarbeiter sich mit einem Standard-Benutzerkonto für E-Mail und Surfen anmelden und ein Administratorkonto nur dann verwenden, wenn sie Aufgaben wie die Installation von Software oder die Änderung von Systemeinstellungen durchführen. Diese Trennung verringert die Auswirkungen eines kompromittierten normalen Kontos. Darüber hinaus sollten Sie das integrierte „Administrator“- bzw. „Root“-Konto deaktivieren und stattdessen benannte Administratorkonten verwenden sowie sichere, eindeutige Passwörter mit Multi-Faktor-Authentifizierung durchsetzen.
Implementierung der Multi-Faktor-Authentifizierung (MFA)
Cyber Essentials erfordert nun eine Multi-Faktor-Authentifizierung (MFA) für alle Konten, die diese unterstützen, insbesondere für Cloud-Dienste, Fernzugriff und Administratorkonten. MFA fügt eine zweite Verifikationsebene hinzu, etwa einen Einmalcode aus einer Authenticator-App oder einen Hardware-Token, wodurch es Angreifern erheblich schwerer gemacht wird, einzubrechen. Im Vereinigten Königreich nutzen viele Unternehmen Plattformen wie Microsoft 365 oder Google Workspace, die MFA nativ unterstützen. Stellen Sie sicher, dass MFA für alle extern zugänglichen Dienste und für sämtliche privilegierte Zugriffe aktiviert ist. Falls ein System MFA nicht unterstützt, sollten Sie kompensierende Kontrollen anwenden oder dokumentieren, warum dies nicht durchführbar ist. Regelmäßige Tests Ihrer MFA-Einrichtung werden ebenfalls empfohlen.
Häufige Fehler und wie man sie vermeidet
Eine häufige Falle besteht darin, Nutzern mehr Zugriffsrechte zu gewähren, als sie tatsächlich benötigen – das vergrößert Ihre Angriffsfläche. Eine weitere ist, Zugriffe beim Ausscheiden von Mitarbeitern nicht zu entziehen – ein häufig gefundenes Problem bei Cyber-Essentials-Audits. Viele Unternehmen übersehen außerdem die Verwendung von Standardpasswörtern bei Routern, Druckern und anderen Geräten. Um diese Probleme zu vermeiden, erstellen Sie ein Inventar Ihrer Systeme und ordnen Sie die Benutzerzugriffe diesem zu. Nutzen Sie einen Passwort-Manager, um eindeutige Passwörter zu generieren und sicher zu speichern. Führen Sie einen formalen Offboarding-Prozess ein, der die sofortige Entfernung von Konten beinhaltet. Ziehen Sie darüber hinaus den Einsatz einer Lösung für die Verwaltung privilegierter Zugriffe in Betracht. Regelmäßige interne Audits und Mitarbeiterschulungen können helfen, gute Zugriffskontroll-Gewohnheiten in Ihrem gesamten Unternehmen zu festigen.
FAQ
Ja, seit Januar 2024 verlangt Cyber Essentials die Multi-Faktor-Authentifizierung (MFA) für alle Cloud-Konten, Fernzugriffslösungen und Administratorkonten, die diese unterstützen. Falls MFA nicht verfügbar ist, müssen Sie ausgleichende Kontrollen dokumentieren. Für Unternehmen in Großbritannien ist die Aktivierung von MFA bei Diensten wie Microsoft 365 unkompliziert und verbessert die Sicherheitslage erheblich.